NIS 2 Status in den Niederlanden
Die Niederlande haben die NIS 2 Richtlinie der EU über die Cyberbeveiligingswet (Cbw) umgesetzt. Das Gesetz kam verspätet und gilt seit dem 15. August 2026, ohne Übergangsfrist.
Überblick
Rechtliche Grundlage ist die EU-Richtlinie NIS 2 (2022/2555). Sie definiert den europäischen Mindeststandard für Cybersicherheit. Die Niederlande haben diesen Mindeststandard über die Cyberbeveiligingswet (Cbw) in nationales Recht geschrieben. Die Cbw hat das bisherige Wbni (Wet beveiliging netwerk- en informatiesystemen) abgelöst, das die NIS 1 Richtlinie umgesetzt hatte.
Die EU-Umsetzungsfrist vom 17. Oktober 2024 haben die Niederlande verfehlt, ebenso wie die meisten Mitgliedstaaten einschließlich Deutschlands. Der niederländische Gesetzesentwurf durchlief 2024 die öffentliche Konsultation, wurde im Juni 2025 in die Tweede Kamer eingebracht und als Gesetz vom 8. Juli 2026 verabschiedet (Staatsblad 2026, 187). Die Kommission hat die Niederlande am 8. Juli 2026 vor dem Gerichtshof der EU verklagt, einen Monat bevor die Cbw am 15. August 2026 in Kraft trat.
Die Cbw und ihre Ausführungsverordnung, das Cyberbeveiligingsbesluit (Staatsblad 2026, 189), sind am 15. August 2026 ohne Übergangsfrist in Kraft getreten. Das entspricht dem deutschen Vorgehen mit dem BSIG. Für das Scoping gilt jetzt die verabschiedete Cbw, zusammen mit der EU Richtlinie.
EU-Richtlinie
Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (NIS 2).
Regelt Risikomanagement-Maßnahmen (Art. 21), Meldepflichten (Art. 23), Verantwortung der Leitungsorgane (Art. 20) und Registrierungspflichten (Art. 3 Abs. 4). Die Mitgliedstaaten müssen die Richtlinie umsetzen, dürfen das Schutzniveau aber nicht unterschreiten.
EU-Durchführungsverordnung
Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024 (CIR).
Konkretisiert die Maßnahmen nach Art. 21 für DNS Diensteanbieter, TLD Namenregister, Cloudanbieter, Rechenzentren, Content Delivery Networks, Managed Service Provider und Managed Security Service Provider, Onlinemarktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter. Gilt unmittelbar in den Niederlanden, ohne weitere nationale Umsetzung.
Niederländische Umsetzung
Cyberbeveiligingswet (Cbw), Gesetz vom 8. Juli 2026 (Staatsblad 2026, 187), in Kraft seit dem 15. August 2026; sie hat das Wbni abgelöst.
Die Cbw regelt Aufsicht und CSIRT-Zuständigkeiten, definiert wesentliche (essentiële) und wichtige (belangrijke) Einrichtungen, ergänzt nationale Besonderheiten wie Gebühren, Designationsverfahren und Sektorzuordnungen. Ihre Ausführungsverordnung, das Cyberbeveiligingsbesluit (Staatsblad 2026, 189), ist mit ihr am 15. August 2026 in Kraft getreten.
Cyberbeveiligingswet (Cbw)
Setzt NIS 2 in niederländisches Recht um und gilt seit dem 15. August 2026. Definiert wesentliche und wichtige Einrichtungen, regelt Aufsichtsbefugnisse, Bußgelder und Meldeverfahren und verweist auf die EU-Durchführungsverordnung.
RDI, Sektorbehörden, NCSC-NL
Die Aufsicht ist nach Sektoren aufgeteilt: die Rijksinspectie Digitale Infrastructuur (RDI) für digitale Infrastruktur, digitale Anbieter, Verwaltung von IKT Diensten, Energie und öffentliche Verwaltung; die ILT für Verkehr, Wasser und Chemie; die DNB für Banken; die AFM für Finanzmarktinfrastrukturen; die NVWA für Lebensmittel. Das NCSC ist das CSIRT für die meisten Sektoren.
EU-Frist verstrichen, Registrierung über niederländisches Portal
Der 17. Oktober 2024 verstrich ohne niederländische Umsetzung. Seit dem 15. August 2026 müssen sich Einrichtungen im Anwendungsbereich im nationalen Einrichtungsregister auf MijnNCSC (mijn.ncsc.nl) registrieren, mit Anmeldung über eHerkenning, und Änderungen unverzüglich, spätestens binnen zwei Wochen melden. Erhebliche Sicherheitsvorfälle gehen an das CSIRT und an die Aufsichtsbehörde, innerhalb von 24 Stunden (Frühwarnung) und 72 Stunden (vollständige Meldung), wie in Art. 23 NIS 2 vorgesehen.
Nationales Recht folgt der Niederlassung
Eine Einrichtung unterliegt dem Recht des Mitgliedstaats, in dem sie niedergelassen ist. Nur bestimmte digitale Anbieter (Cloud, Rechenzentren, Managed Service Provider, Onlinemarktplätze und ähnliche) unterliegen dem Staat ihrer Hauptniederlassung in der EU, und Anbieter elektronischer Kommunikation jedem Staat, in dem sie ihre Dienste erbringen (Art. 26 Abs. 1 NIS 2).
Die Richtlinie ist die Untergrenze, nicht die Obergrenze
Die Cbw darf NIS 2 nicht unterschreiten. Sie darf bei nationalen Besonderheiten strenger sein (Designationsverfahren, Gebühren, Sektorzuschnitte). Für Risikomanagement-Maßnahmen und Meldepflichten gelten die EU-Richtlinie und die Durchführungsverordnung inhaltlich. Die Cbw liefert das verfahrensrechtliche Gerüst.
Rijksinspectie Digitale Infrastructuur (RDI)
Aufsichtsbehörde für digitale Infrastruktur, digitale Anbieter, Verwaltung von IKT Diensten, Energie, Raumfahrt, Post, verarbeitendes Gewerbe und öffentliche Verwaltung. Zuständige Behörde im Sinne des Gesetzes ist der jeweils verantwortliche Minister. Hervorgegangen aus dem Agentschap Telecom, dem Ministerium für Wirtschaft zugeordnet.
NCSC-NL (Nationaal Cyber Security Centrum)
Nationales CSIRT unter dem Ministerium für Justiz und Sicherheit. Empfängt Meldungen nach Art. 23, gibt Sektorwarnungen heraus und arbeitet mit ENISA und den nationalen CSIRTs zusammen. Seit dem 1. Januar 2026 gehört das Digital Trust Center zum NCSC. Das NCSC ist damit die zentrale Anlaufstelle für digitale Resilienz und das CSIRT für die meisten Sektoren der Cbw. Es betreibt das Einrichtungsregister auf MijnNCSC.
ENISA
Veröffentlicht EU-weite Leitlinien und technische Umsetzungshinweise. Keine Aufsichtsbehörde für niederländische Einrichtungen. Ihre Technical Implementation Guidance zur Durchführungsverordnung (mit Mapping auf ISO 27001) ist für die digitalen Anbieter geschrieben, die die Durchführungsverordnung erfasst. Andere Einrichtungen können sie als Bezugsrahmen nutzen.
Die niederländische NIS 2 Umsetzung entspricht eins zu eins dem deutschen BSIG.
Beide setzen dieselbe Richtlinie um, die Texte unterscheiden sich aber. Die Niederlande behalten ein stärkeres Sektoraufsichtsmodell und nutzen die RDI als horizontale Aufsicht. Deutschland bündelt fast alles im BSI. Bußgeldhöhen, Registrierungsverfahren und Schulungspflichten der Leitungsorgane sind unterschiedlich formuliert. Die Cbw eigenständig lesen, nicht als Übersetzung des BSIG.
Es gibt in den Niederlanden noch keine Registrierungspflicht, wir können warten.
Art. 3 Abs. 4 NIS 2 verpflichtet jeden Mitgliedstaat zur Führung eines Verzeichnisses, und die Einrichtungen zur Datenübermittlung. In den Niederlanden ist die Registrierung seit dem 15. August 2026 Pflicht, ohne Schonfrist: Einrichtungen im Anwendungsbereich registrieren sich im nationalen Einrichtungsregister auf MijnNCSC, das der Minister für Justiz und Sicherheit führt (Art. 43 Cbw). Änderungen sind unverzüglich, spätestens binnen zwei Wochen ab dem Datum der Änderung zu melden (Art. 44 Abs. 2 Cbw).
Unsere Sektorbehörde regelt alles, die RDI ist für uns nicht relevant.
Die Aufsicht unter der Cbw ist nach Sektoren aufgeteilt: die DNB für Banken, die AFM für Finanzmarktinfrastrukturen, die ILT für Verkehr, Wasser und Chemie, die NVWA für Lebensmittel und die RDI für digitale Infrastruktur, Energie, öffentliche Verwaltung und mehrere weitere Sektoren. Für Finanzunternehmen unter DORA wirkt DORA als Lex specialis bei den Maßnahmen, die NIS 2 Registrierung nach Art. 3 Abs. 4 gilt aber zusätzlich.
Die meisten niederländischen Einrichtungen im Anwendungsbereich wussten bereits, dass sie betroffen sind. Die Cbw gilt seit dem 15. August 2026 ohne Übergangsfrist. Damit zählen jetzt zwei Dinge: die Registrierung im Einrichtungsregister auf MijnNCSC und jede Mitteilung der Aufsicht für den eigenen Sektor, die das Scoping klärt.
Operativ gelten unter der Cbw, die diese EU Artikel umsetzt, vier Dauerpflichten: Governance mit Verantwortung der Leitungsorgane (Art. 20), Maßnahmen zum Risikomanagement (Art. 21), Meldepflichten innerhalb von 24 und 72 Stunden (Art. 23), Registrierung und deren Aktualisierung (Art. 3 Abs. 4).
- Richtlinie (EU) 2022/2555 (NIS 2), EUR-Lex, ABl. L 333 vom 27. Dezember 2022
- Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024
- Cyberbeveiligingswet (Cbw), Gesetz vom 8. Juli 2026, Staatsblad 2026, 187; Cyberbeveiligingsbesluit, Staatsblad 2026, 189
- Wbni, Wet beveiliging netwerk- en informatiesystemen (NIS 1 Umsetzung, seit dem 15. August 2026 durch die Cbw abgelöst)
- Rijksinspectie Digitale Infrastructuur (RDI), rdi.nl, Aufsichtsinformationen NIS 2
- NCSC-NL, ncsc.nl, CSIRT- und Meldeleitlinien
- ENISA, NIS 2 Technical Implementation Guidance, Version 1.0, Juni 2025 (Mappingtabelle Version 1.2, September 2025)
In der Praxis
Was das nationale Gesetz ändert und was nicht
Das nationale Gesetz regelt unter anderem, wo Sie sich registrieren und wem Sie Vorfälle melden. Die Maßnahmen selbst gehen in jedem Mitgliedstaat von derselben Mindestliste aus (Art. 21 NIS 2). Der Durchgang führt Sie Schritt für Schritt hindurch:
Risikomanagement
Aufschreiben, was Ihr Unternehmen hat
Eine Liste der Abläufe, Programme und Geräte, mit denen Sie arbeiten.
Vorfallbehandlung
Planen, was bei einem Vorfall passiert
Wer entscheidet, wen Sie anrufen, wie Sie sich erreichen.
Wirksamkeitsbewertung
Die Managementbewertung festhalten
Die Geschäftsführung prüft, ob die Maßnahmen wirken, und gibt Ihre Dokumente frei.
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
